Gdje su vaši podaci? AI, GDPR i EU hosting za hrvatske tvrtke

U AI projektu podaci nisu na jednom mjestu: nalaze se ondje gdje rade aplikacija i baza podataka, ondje gdje AI model obrađuje upite te kod podizvršitelja, u sigurnosnim kopijama i u zapisima o radu sustava. Opća uredba o zaštiti podataka (GDPR) ne traži da podaci ostanu u Hrvatskoj, ali traži da za svako od tih mjesta znate tko ih obrađuje i na temelju kojeg ugovora te, ako podaci izlaze iz Europskog gospodarskog prostora, na kojoj pravnoj osnovi.

Što znači „gdje su podaci” u AI projektu?

Pitanje gdje se obrađuju podaci ima onoliko odgovora koliko sustava podatak prođe, a za svaki treba znati državu, tvrtku i rok čuvanja:

• Aplikacija. Poslužitelj na kojem radi program koji koriste kupci ili zaposlenici, primjerice chatbot na internetskoj stranici.
• Baza podataka i dokumenti. Podaci o kupcima i dokumenti iz kojih AI crpi odgovore, zajedno s indeksom za pretraživanje koji nastaje iz njihova sadržaja i koji treba štititi kao i same dokumente.
• AI model. Upit je sve što aplikacija šalje modelu: pitanje korisnika, dijelove vaših dokumenata i podatke o kupcu potrebne za odgovor. Sve to stiže ondje gdje model radi, a pružatelj modela upite i odgovore može i pohraniti.
• Podizvršitelji. Podizvršitelj obrade je tvrtka koju vaš dobavljač angažira da za vas obavi dio obrade, primjerice pružatelj poslužitelja, AI modela, slanja e-pošte ili, kod glasovnih agenata, prepoznavanja govora.
• Sigurnosne kopije. Kopije baze i dokumenata mogu biti na drugoj lokaciji od same baze i imati vlastiti rok brisanja.
• Zapisi. Zapisi o radu sustava bilježe što se događalo, a mogu sadržavati i cijele upite s osobnim podacima.
• Pristup podrške. Europski odbor za zaštitu podataka (EDPB) u Smjernicama 05/2021 navodi da se i pristup na daljinu iz treće zemlje u pravilu smatra prijenosom podataka, čak i kad se podaci samo prikazuju na zaslonu, primjerice pri pružanju podrške.

Treća zemlja je svaka država izvan Europskog gospodarskog prostora (EGP), koji čine države EU-a te Island, Lihtenštajn i Norveška. Smještaj aplikacije na poslužiteljima u EU-u (EU hosting) zato rješava samo dio pitanja: ako model, podizvršitelj ili podrška rade izvan EGP-a, podaci se ipak prenose. EDPB upozorava i na izvršitelja iz EU-a koji podliježe propisima treće zemlje, primjerice kao društvo kći tamošnje tvrtke: može dobiti zahtjev tamošnjih tijela za pristup podacima, pa to procijenite prije nego što ga angažirate.

Koja pravila GDPR-a vrijede za AI projekt?

Opća uredba o zaštiti podataka, Uredba (EU) 2016/679, primjenjuje se čim AI sustav obrađuje osobne podatke. Kad dobavljač aplikacije ili modela podatke obrađuje u vaše ime, vi ste voditelj obrade, tj. onaj tko određuje svrhe i sredstva obrade, a on je izvršitelj obrade (čl. 4.). Za lokaciju podataka najvažnije su ove odredbe:

• Načela (čl. 5.). Smanjenje količine podataka znači da modelu šaljete samo ono što je nužno za svrhu. Ograničenje pohrane znači da upite, odgovore i zapise čuvate samo dok su potrebni. Cjelovitost i povjerljivost traže odgovarajuću sigurnost, a usklađenost morate moći dokazati.
• Izvršitelj i podizvršitelji (čl. 28.). Smijete koristiti samo izvršitelje koji daju dovoljna jamstva, a odnos se uređuje pisanim ugovorom. Izvršitelj ne smije angažirati podizvršitelja bez vašeg posebnog ili općeg pisanog odobrenja; uz opće odobrenje mora vas obavijestiti o svakoj promjeni kako biste mogli uložiti prigovor. Podizvršitelj preuzima iste obveze, a izvršitelj vam za njega odgovara.
• Sigurnost (čl. 32.). Mjere se biraju prema riziku i prema potrebi uključuju pseudonimizaciju i enkripciju, pravodobnu ponovnu uspostavu dostupnosti podataka nakon incidenta i redovito testiranje mjera.
• Procjena učinka (čl. 35.). Procjena učinka na zaštitu podataka obvezna je kad je vjerojatno da će obrada, osobito putem novih tehnologija, prouzročiti visok rizik za prava i slobode pojedinaca.
• Evidencija i informiranje (čl. 30. i 13.). Evidencija aktivnosti obrade sadržava i prijenose u treće zemlje, a ispitanike morate obavijestiti o namjeri prijenosa i o tome postoji li odluka o primjerenosti ili druge zaštitne mjere.

Kada podaci izlaze iz EGP-a: primjerenost, klauzule i okvir EU-a i SAD-a

Prijenos u treću zemlju dopušten je samo na jednoj od osnova iz poglavlja V. Opće uredbe, a isti uvjeti vrijede i kad primatelj podatke proslijedi dalje, primjerice svom podizvršitelju u drugoj trećoj zemlji (čl. 44.). Osnove su:

• Odluka o primjerenosti (čl. 45.). Njome Europska komisija utvrđuje da treća zemlja osigurava primjerenu razinu zaštite, pa prijenos ne traži posebno odobrenje. Komisija objavljuje popis takvih zemalja; na njemu su primjerice Švicarska, Ujedinjena Kraljevina i Japan, a za SAD samo tvrtke uključene u okvir EU-a i SAD-a za privatnost podataka.
• Odgovarajuće zaštitne mjere (čl. 46.). Među njima su standardne ugovorne klauzule, tj. ugovorni tekst koji je unaprijed donijela Komisija; važeće klauzule za prijenose u treće zemlje donesene su 4. lipnja 2021. Uz klauzule stranke moraju procijeniti i dokumentirati sprečavaju li propisi i praksa zemlje primatelja njihovo poštovanje, uzimajući u obzir i mjesto pohrane i daljnje prijenose (klauzula 14. Provedbene odluke (EU) 2021/914).
• Odstupanja za posebne situacije (čl. 49.). Primjer je izričit pristanak osobe nakon što je obaviještena o mogućim rizicima prijenosa.

Za SAD je ključna odluka o primjerenosti za okvir EU-a i SAD-a za privatnost podataka, koju je Komisija donijela 10. srpnja 2023. (Provedbena odluka (EU) 2023/1795). Prema Komisijinoj stranici o prijenosima u SAD, na temelju te odluke osobni podaci mogu slobodno teći iz EU-a tvrtkama u SAD-u koje sudjeluju u okviru. Odluka ne pokriva svaku američku tvrtku, nego samo organizacije s popisa koji vodi Ministarstvo trgovine SAD-a, a certificiranje se mora obnavljati svake godine. Prije potpisa na službenom popisu provjerite je li pružatelj na njemu, je li mu status aktivan i obuhvaća li certificiranje vrstu podataka koju prenosite: podatke o zaposlenicima ili ostale.

Komisija navodi i da zaštitne mjere koje je SAD uveo u području nacionalne sigurnosti vrijede za sve prijenose tvrtkama u SAD-u, bez obzira na alat za prijenos, pa olakšavaju i primjenu standardnih ugovornih klauzula. Odluka je na snazi: Opći sud EU-a 3. rujna 2025. odbio je tužbu kojom se tražilo njezino poništenje (predmet T-553/23), a žalba pred Sudom EU-a (predmet C-703/25 P) u listopadu 2026. još nije riješena. Zato u ugovoru predvidite što se događa ako se pravila za prijenos promijene.

Što AZOP preporučuje za velike jezične modele?

Agencija za zaštitu osobnih podataka (AZOP) 8. svibnja 2026. objavila je preporuku za sigurno korištenje velikih jezičnih modela. U njoj upozorava da se uneseni podaci, ovisno o uvjetima korištenja i arhitekturi alata, mogu obrađivati na poslužiteljima vanjskog pružatelja, pohraniti u povijesti razgovora, biti dostupni pružatelju i njegovim podizvršiteljima te koristiti za sigurnosnu analizu, poboljšanje usluge ili treniranje modela. Među rizicima navodi i moguće prijenose izvan EGP-a i nejasne rokove čuvanja. Organizacijama osobito preporučuje:

• internu politiku korištenja, popis dopuštenih i zabranjenih alata te odobrene poslovne alate umjesto privatnih korisničkih računa zaposlenika;
• zabranu unosa osobnih podataka u javno dostupne alate bez prethodnog odobrenja;
• provjeru uvjeta korištenja, rokova čuvanja, lokacije obrade i mogućnosti korištenja podataka za treniranje modela;
• ugovor s pružateljem kad on obrađuje osobne podatke u ime organizacije;
• uključivanje službenika za zaštitu podataka prije uvođenja i procjenu je li potrebna procjena učinka.

AZOP naglašava i da dostupnost alata na internetu ne znači da je njegova uporaba za obradu osobnih podataka automatski zakonita.

Tri rješenja i što svako traži

Model s obradom u EU-u znači da pružatelj ugovorom jamči da se upiti obrađuju i pohranjuju na poslužiteljima u EU-u, a vlastiti model je model koji se preuzima i pokreće na poslužitelju koji vi kontrolirate.

Prvo rješenje ima smisla kad AI obrađuje podatke kupaca ili zaposlenika, a prijenose želite izbjeći; drugo kad je model izvan EGP-a za zadatak bitno bolji, a podatke koje mu šaljete možete svesti na nužne; treće kad podaci ne smiju izaći iz vaše infrastrukture, primjerice zbog ugovora s klijentima. U sva tri slučaja za usklađenost odgovarate vi kao voditelj obrade.

Kako odabrati AI dobavljača: popis za provjeru

1. Zatražite pisani pregled svih mjesta na kojima će podaci biti (aplikacija, baza, model, sigurnosne kopije, zapisi), s državom i tvrtkom za svako.
2. Zatražite popis podizvršitelja s ulogom i državom te pitajte kako vas obavještavaju o promjenama.
3. Za svaki prijenos izvan EGP-a tražite pisanu osnovu: odluku o primjerenosti, certificiranje u okviru EU-a i SAD-a ili standardne ugovorne klauzule. Certificiranje američke tvrtke provjerite sami na službenom popisu.
4. Pitajte koriste li se upiti, odgovori i dokumenti za treniranje ili poboljšanje modela i kako je to isključeno.
5. Pitajte koliko se dugo čuvaju upiti, odgovori, zapisi i sigurnosne kopije i kako se brišu.
6. Provjerite što aplikacija šalje modelu: identifikatore poput imena, OIB-a ili adrese e-pošte treba ukloniti ili pseudonimizirati kad nisu nužni. Pseudonimizacija je obrada nakon koje se podaci bez dodatnih, odvojeno čuvanih informacija ne mogu pripisati određenoj osobi; takvi podaci i dalje su osobni podaci.
7. Tražite opis sigurnosnih mjera: enkripcije, kontrole pristupa, oporavka nakon incidenta i redovitog testiranja.
8. Pitajte tko kod dobavljača i podizvršitelja ima pristup podacima i odakle, uključujući podršku.
9. Dogovorite tko priprema podloge za procjenu učinka i kako dobivate podatke natrag kad suradnja završi.

Što upisati u ugovor?

Članak 28. propisuje najmanji sadržaj ugovora s izvršiteljem obrade; za AI projekt dodajte odredbe o lokaciji i upitima:

• predmet, trajanje, prirodu i svrhu obrade, vrste osobnih podataka i kategorije ispitanika;
• obradu samo prema vašim zabilježenim uputama, uključujući upute o prijenosima u treće zemlje;
• lokaciju svake komponente i obvezu da se ne mijenja bez vašeg pristanka;
• popis podizvršitelja, način odobravanja promjena i vaše pravo prigovora;
• zabranu korištenja vaših podataka za treniranje ili poboljšanje modela i rokove čuvanja upita, odgovora i zapisa;
• sigurnosne mjere u prilogu i obavijest o povredi osobnih podataka bez nepotrebnog odgađanja, jer vi povredu u pravilu morate prijaviti AZOP-u najkasnije 72 sata nakon saznanja (čl. 33.);
• pomoć pri ostvarivanju prava ispitanika i pri procjeni učinka;
• brisanje ili povrat svih podataka nakon završetka usluge, uključujući kopije, te pravo na reviziju;
• za prijenose: standardne ugovorne klauzule s odgovarajućim modulom i obvezu dobavljača da vas odmah obavijesti ako mu propisi treće zemlje onemoguće njihovo poštovanje.

Kao polazište možete uzeti standardne ugovorne klauzule između voditelja i izvršitelja obrade, koje je Komisija donijela 4. lipnja 2021. (Provedbena odluka (EU) 2021/915).

Iz naše prakse

U Divine Solutions aplikacije koje izrađujemo i održavamo smještamo na poslužitelje u EU-u. Za svaku AI funkciju s klijentom unaprijed dogovaramo koji se model koristi i gdje obrađuje podatke.

Što pokriva prvi razgovor s Divine Solutions?

Prvi razgovor je besplatan. Prolazimo kroz to koje bi podatke AI funkcija koristila, gdje danas rade vaši sustavi, koje od tri rješenja odgovara vašim podacima i što treba urediti ugovorom. Ako nastavimo, dobivate pisani opseg, procjenu troška i plan po fazama, a prva radna verzija u našem procesu stiže za 4–8 tjedana. Ako trebate i trajna pravila za korištenje AI alata u tvrtki, opis usluge nalazi se na stranici AI sigurnost i upravljanje.